随着模型能力的自身进化，审计/review 这类需求应当已经能直接通过一句话提示来实现了 当然如果恶意行为完全是在 mcp 调用时进行的话就比较难发现了，需要逆向 mcp